Vorbereitet für Ihre Dienstleisterprüfung
Bevor ein Finanzdienstleister, eine Bank, ein Versicherer oder ein großer Vertrieb einen Dienstleister einsetzt, prüfen Datenschutz, Informationssicherheit, Auslagerungsmanagement und Einkauf. Wir kennen diese Prüfungen und bereiten die Unterlagen so vor, dass sie nicht zum Engpass werden. Dazu gehört auch eine Frage, die selten gestellt und oft vergessen wird: Wie kommen Sie wieder heraus?
Datenschutz von Anfang an
Abschlussstrecken verarbeiten sensible Daten: Identität, finanzielle Verhältnisse, manchmal Gesundheitsangaben. Deshalb beginnt jede Strecke mit einer klaren Datenlandkarte:
- Rechtsgrundlagen: saubere Trennung zwischen Verarbeitung zur Vertragsanbahnung und Verarbeitung auf Grundlage einer Einwilligung
- Getrennte Einwilligungen: etwa für Auskunfteien, Kontaktaufnahme oder weitere Angebote, jeweils einzeln und nachweisbar
- Datensparsamkeit: erfasst wird, was der Vertrag braucht – nicht, was technisch möglich ist
- Keine automatisierten Einzelentscheidungen: Entscheidungen mit rechtlicher Wirkung für den Kunden trifft kein Algorithmus allein
- Löschkonzept: definierte Fristen, nach deren Ablauf personenbezogene Daten entfernt werden
Die Verarbeitung erfolgt im europäischen Rechtsraum, auf Grundlage von Verträgen zur Auftragsverarbeitung nach Art. 28 DSGVO. Unterauftragsverarbeiter werden offengelegt. Unser externer Datenschutzbeauftragter begleitet die Umsetzung.
Informationssicherheit
Ihre Informationssicherheit will wissen, wie eine Strecke geschützt ist. Die Antworten stellen wir im Rahmen der Dienstleisterprüfung strukturiert bereit, unter anderem zu diesen Themen:
- Verschlüsselung bei Übertragung und Speicherung
- Rollen- und Rechtekonzept nach dem Prinzip der minimalen Berechtigung
- Protokollierung von Zugriffen auf personenbezogene Daten
- Trennung von Entwicklung, Test und Betrieb
- Umgang mit Sicherheitsvorfällen und Meldewege an Sie
Grundlage sind die technischen und organisatorischen Maßnahmen, die wir Ihnen für die Prüfung zur Verfügung stellen.
Auslagerung und DORA
Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (DORA) für Finanzunternehmen in der EU. Er stellt Anforderungen an den Umgang mit IKT-Drittdienstleistern: an Risikobewertung, Vertragsinhalte, Informationsregister, Überwachung und Ausstiegsstrategien. Hinzu kommen je nach Institut die Anforderungen an Auslagerungen aus dem Bank- und Versicherungsaufsichtsrecht.
Wir bereiten die Zusammenarbeit so vor, dass Ihr Auslagerungs- und Dienstleistermanagement die nötigen Informationen erhält: Beschreibung der Leistung, eingesetzte Unterdienstleister, Standorte der Verarbeitung, Prüf- und Informationsrechte sowie Regelungen für Vorfälle und Beendigung.
Exit-Fähigkeit
Ein Dienstleister, von dem man nicht mehr loskommt, ist ein Risiko. Deshalb ist die Beendigung der Zusammenarbeit bei uns von Anfang an geregelt:
- Eigentum: Verträge, Kundendaten und Nachweise gehören Ihnen.
- Formate: Daten und Audit-Trails werden in dokumentierten, weiterverarbeitbaren Formaten übergeben.
- Übergang: Laufende Vorgänge werden geordnet abgeschlossen oder übergeben.
- Löschung: Nach der Übergabe werden Daten bei uns nachweisbar gelöscht, soweit keine Aufbewahrungspflichten bestehen.
Häufige Fragen
Welche Unterlagen erhalten wir für die Dienstleisterprüfung?
Auf Anfrage stellen wir unter anderem die Leistungsbeschreibung, die technischen und organisatorischen Maßnahmen, den Vertrag zur Auftragsverarbeitung, die Liste der Unterauftragsverarbeiter und eine Beschreibung der Datenflüsse bereit.
Wo werden die Daten verarbeitet?
Im europäischen Rechtsraum. Die konkreten Standorte und Dienstleister legen wir im Rahmen der Prüfung offen.
Setzen Sie KI bei der Verarbeitung von Kundendaten ein?
KI unterstützt uns punktuell bei Auswertungen und der Vorbereitung von Prüfungen. Entscheidungen über Kunden trifft sie nicht. Wie und wo KI eingesetzt wird, legen wir im Rahmen der Dienstleisterprüfung offen.
Beschreiben Sie uns den Vertrag.
Wir zeigen Ihnen, wie die Strecke dorthin aussieht. Das erste Gespräch dient der Einordnung auf Entscheiderebene – vertraulich und ohne Verpflichtung.